북한 해커 VS Code 자동실행 악용 StoatWaffle 멀웨어 글로벌 전파

북한 Lazarus 계열 해커가 개발자 도구 VS Code를 악용해 StoatWaffle 멀웨어를 배포하며 소프트웨어 공급망 공격의 새로운 패턴을 제시합니다.

• 북한 Lazarus 계열 해커들이 Microsoft의 Visual Studio Code(VS Code) 확장 프로그램 내 자동실행 태스크 기능을 악용하여 StoatWaffle라는 정보탈취 멀웨어를 개발자 시스템에 침투시키며 키보드 입력, 클립보드 데이터, 브라우저 저장 비밀번호 등을 실시간으로 수집하고 해외 C2 서버로 전송하는 고도화된 공격 전술을 구사하고 있습니다.
• 이번 공격은 개발 환경의 신뢰된 도구를 표적으로 삼아 CI/CD 파이프라인과 소스코드 저장소에 대한 무차별적 접근을 허용하며 글로벌 소프트웨어 개발 기업들의 보안 검증 프로세스를 근본적으로 재검토하게 만드는 공급망 취약점의 심각성을 여실히 드러냅니다.
• VS Code의 확장 프로그램 생태계가 공격자에게 쉽게 오염될 수 있다는 점에서 Microsoft와 같은 빅테크 기업의 플랫폼 책임 강화와 함께 국제적 개발자 교육 프로그램의 긴급 도입이 불가피하며 국가 단위의 소프트웨어 공급망 보호 정책 수립이 시급합니다.
• 북한의 이러한 공격 패턴은 자금 세탁을 위한 암호화폐 탈취와 연계되어 글로벌 금융 시스템에 대한 지속적 위협으로 작용하며 한국 정부는 국내 개발자 커뮤니티 대상의 VS Code 보안 가이드라인 배포와 국제 공조를 통해 선제 대응 체계를 구축해야 합니다.
• 공격자들이 VS Code의 오픈소스 특성을 이용해 악성 확장을 GitHub 등 공개 저장소에 은폐 배포함에 따라 개발자들의 확장 프로그램 다운로드 전 디지털 서명 및 해시값 검증 의무화가 표준화되어야 하며 이는 장기적으로 글로벌 개발 표준의 보안 수준을 제고할 것입니다.

이번 사건은 국가 지원 해커의 개발자 도구 표적화라는 점에서 주목할 필요가 있다. 단기적으로는 VS Code 사용자 대상 보안 점검 캠페인을 실시하고, 중장기적으로는 소프트웨어 공급망 보안법 제정과 미국·EU와의 정보 공유 협정을 통해 북한 해킹 위협에 공동 대응해야 한다.

출처: The Hacker News